Incident Response

Kein Unternehmen kann Sicherheitsvorfälle vollständig ausschließen. Entscheidend ist, wie schnell und geordnet es reagiert, wenn ein Vorfall eintritt. Ohne Vorbereitung passieren im Ernstfall typische Fehler: Systeme werden voreilig neu aufgesetzt und Spuren vernichtet, niemand weiß, wer entscheiden darf, oder Meldefristen werden versäumt. Incident Response sorgt dafür, dass diese Fragen vorab geklärt sind.

Wie funktioniert Incident Response?

Etablierte Rahmenwerke, etwa des US-amerikanischen NIST, beschreiben den Ablauf in Phasen. Vereinfacht lassen sich diese Schritte unterscheiden:

1. Vorbereitung: Notfallplan, Zuständigkeiten, Kontaktlisten, Werkzeuge und Übungen.
2. Erkennung und Analyse: Ein Alarm oder eine Meldung wird bewertet. Handelt es sich um einen echten Vorfall, wie schwer ist er, welche Systeme sind betroffen?
3. Eindämmung: Die Ausbreitung wird gestoppt, etwa durch Isolieren von Geräten oder Sperren von Konten.
4. Beseitigung: Schadsoftware, Hintertüren und kompromittierte Zugänge werden entfernt.
5. Wiederherstellung: Systeme werden aus sauberen Sicherungen zurückgeholt und kontrolliert wieder in Betrieb genommen.
6. Nachbereitung: Ursachen und Abläufe werden ausgewertet, Maßnahmen abgeleitet und der Plan verbessert.

Parallel laufen Kommunikation und Dokumentation: Geschäftsführung, Mitarbeitende, gegebenenfalls Kunden, Versicherung und Behörden müssen zur richtigen Zeit informiert werden. Bei einer Verletzung des Schutzes personenbezogener Daten sieht die DSGVO in der Regel eine Meldung an die zuständige Datenschutz-Aufsichtsbehörde binnen 72 Stunden vor. Für Einrichtungen im Anwendungsbereich von NIS2 gelten zusätzlich eigene Meldepflichten.

Typische Beispiele

• Eine Mitarbeiterin meldet, dass sie auf einer gefälschten Anmeldeseite ihr Passwort eingegeben hat. Das Konto wird gesperrt, Anmeldungen und Postfachregeln werden geprüft.
• Ein Ransomware-Angriff verschlüsselt Server. Das Notfallteam trennt betroffene Netzbereiche, sichert Spuren und plant die Wiederherstellung.
• Eine Schwachstelle in einem Webportal wurde ausgenutzt. Es wird geprüft, ob Daten abgeflossen sind.

Worauf Unternehmen achten sollten

• Einen kurzen, schriftlichen Notfallplan erstellen, der auch ausgedruckt verfügbar ist, falls IT-Systeme ausfallen.
• Zuständigkeiten und Entscheidungsbefugnisse festlegen, auch für Urlaubs- und Krankheitsvertretungen.
• Externe Unterstützung wie IT-Forensik oder Rechtsberatung vorab klären, nicht erst im Ernstfall.
• Den Plan regelmäßig üben, etwa in Planspielen.
• Incident Response mit Backup und Recovery und dem Business Continuity Management abstimmen.

Dieser Eintrag ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung.